T1569.001: Launchctl

摘要

攻击者可能滥用 launchctl 来执行命令或程序。Launchctl 与 launchd（macOS 的服务管理框架）交互。Launchctl 支持在命令行上、交互式地、甚至从标准输入重定向接受子命令。(Citation: Launchctl Man) 攻击者使用 launchctl 以[启动代理](https://attack.mitre.org/techniques/T1543/001)或[启动守护进程](https://attack.mitre.org/techniques/T1543/004)的形式执行命令和程序。常见的子命令包括：<code>launchctl load</code>、<code>launchctl unload</code> 和 <code>launchctl start</code>。攻击者可以使用脚本或手动运行命令 <code>launchctl load -w "%s/Library/LaunchAgents/%s"</code> 或 <code>/bin/launchctl load</code> 来执行[启动代理](https://attack.mitre.org/techniques/T1543/001)或[启动守护进程](https://attack.mitre.org/techniques/T1543/004)。(Citation: Sofacy Komplex Trojan)(Citation: 20 macOS Common Tools and Techniques)